Запись разговоров с клиентами и 152-ФЗ: что нужно соблюсти

Запись разговора с клиентом — это обработка персональных данных. Голос, содержание беседы и контактные данные относятся к информации о клиенте, а значит, компания становится оператором ПДн и обязана соблюдать требования 152-ФЗ. Это не просто «включил запись и забыл», а целый комплекс обязанностей: от получения согласия до хранения данных в России и уничтожения после того, как они перестали быть нужны.

Запись — это обработка персональных данных

Под персональными данными понимается любая информация, которая относится к субъекту: ФИО, телефон, голос, содержание разговора, если оно содержит сведения о субъекте. Когда компания записывает разговор с клиентом, она собирает, хранит и использует эти данные. Значит, на неё распространяются все обязанности оператора по 152-ФЗ.

Из этого следуют несколько ключевых требований. Компания должна определить цель обработки данных, получить согласие субъекта, обеспечить защиту данных, хранить их на территории России и уничтожать после достижения цели. За невыполнение — административная и уголовная ответственность, а также риск судебных исков от клиентов.

Что нужно соблюсти

Ниже — перечень обязательных требований 152-ФЗ применительно к записи разговоров. Каждое — не рекомендация, а прямая обязанность оператора.

• Цель обработки. Запись должна иметь чётко определённую цель. Например: «контроль качества обслуживания» или «разрешение спорных ситуаций». Использовать запись для другой цели — нарушение. Хранить данные дольше, чем требуется для достижения цели, нельзя.
• Согласие по ст. 9 152-ФЗ. Согласие должно быть конкретным, информированным и однозначным. Оформляется отдельно от прочих документов — нельзя вписать пункт о записи в оферту или договор, смешав с другими условиями. Клиент должен явно согласиться на запись, понимая, для чего она нужна и как будет использоваться. Бремя доказывания согласия лежит на операторе — если клиент подаст жалобу, компания должна доказать, что согласие было получено.
• Меры защиты по ст. 18.1 и 19 152-ФЗ. Это система организационных и технических мер, а не только антивирус. Нужно назначить ответственного за обработку ПДн, разработать политику конфиденциальности, утвердить локальные нормативные акты, вести внутренний контроль. Технические меры — шифрование, контроль доступа, защита от утечек — тоже обязательны.
• Локализация по ст. 18 ч. 5 152-ФЗ. Первичный сбор и хранение персональных данных граждан РФ должны осуществляться в базах, находящихся на территории России. Если компания использует облачный сервис для хранения записей, важно убедиться, что дата-центры находятся в РФ.
• Сроки хранения и уничтожение по ст. 5 ч. 7 и ст. 21 ч. 4 152-ФЗ. Хранить данные дольше, чем требуется для целей обработки, нельзя. Как только цель достигнута (например, завершено обслуживание клиента или разрешён спор), данные нужно уничтожить. Срок — до 30 дней с момента достижения цели.

Подробнее о 152-ФЗ — в полном гиде по 152-ФЗ.

Когда голос становится биометрией

Здесь важно различать две вещи: запись разговора как аудиофайл и использование голоса для идентификации личности.

Согласно ст. 11 152-ФЗ, голос, используемый для установления личности, относится к биометрическим персональным данным. Для обработки биометрии требуется письменное согласие субъекта — это более строгое требование, чем для обычных персональных данных.

Однако запись разговора для контроля качества сама по себе биометрией не является. Она становится биометрией только в том случае, если голос из этой записи используется для идентификации личности: например, для подтверждения, что говорил именно этот клиент, для сравнения с другими записями или для системы распознавания по голосу.

На практике это означает следующее. Если компания записывает разговоры для контроля качества, это обработка персональных данных, но не биометрия. Достаточно согласия по ст. 9 (конкретное, информированное, однозначное). А вот если компания использует голос для идентификации — например, в системе распознавания клиентов при звонке, — это уже биометрия, и требуется письменное согласие по ст. 11.

Подробнее о биометрии — в статье биометрические персональные данные.

Важно помнить: персональные данные работника защищены главой 14 Трудового кодекса. Если запись касается не только клиента, но и менеджера, это тоже обработка ПДн сотрудника. Защита ПДн работника осуществляется за счёт средств работодателя (ст. 86 п. 7 ТК РФ).

О сроках хранения и уничтожении записей — в статье сроки хранения и уничтожение.

152-ФЗ — это не препятствие, а правила игры. Их можно соблюдать, если заранее продумать, как именно запись используется, и настроить процессы: согласие, хранение, защиту, уничтожение. Система контроля продаж Аксиомы при подключении АТС записывает и расшифровывает разговоры — но соблюдение закона остаётся за компанией-пользователем. Убедитесь, что ваши процедуры соответствуют требованиям.

Вопросы про запись разговоров и 152-ФЗ

Похожие материалы

Источники

1. Федеральный закон от 27.07.2006 № 152-ФЗ (ст. 5, 9, 11, 18, 18.1, 19, 21) — consultant.ru
2. Аксиома — контроль продаж и работа с записями разговоров — axiom.rent

Нормы 152-ФЗ сверены с текстом закона; подробные разборы каждой обязанности — в статьях кластера 152-ФЗ.